WordPress TranslatePress の脆弱性 CVE-2026-19632 が FIX：管理者アカウント乗っ取りの恐れ

Critical WordPress TranslatePress Flaw Lets Attackers Take Over Admin Accounts

2026/08/26 gbhackers — WordPress の多言語対応プラグイン TranslatePress に深刻な脆弱性 CVE-2026-19632 (CVSS 9.8) が発見された。この脆弱性を悪用する未認証の攻撃者は、管理者のアカウントを乗っ取り、影響を受ける Web サイトを完全に侵害する可能性がある。TranslatePress のバージョン 3.3.1 以下が影響を受けるが、8月13日の時点で開発元の Cozmoslabs はバージョン 3.3.2 をリリースし、この問題を修正している。40 万以上の WordPress サイトにインストールされているこのプラグインが悪用されると、管理者のパスワード・リセット URL の窃取／アカウント・パスワードのリセット／完全な管理者権限によるログインなどが可能になると、セキュリティ研究者は警告している。

WordPress TranslatePress の深刻な脆弱性

この脆弱性は、Wordfence の研究者 momopon1415 が発見し、同社のバグ・バウンティ・プログラムを通じて責任ある開示が行われ、その結果として 975 ドルの報奨金が支払われた。

この問題は、TranslatePress による翻訳済み送信メールの処理方法と、多言語コンテンツ用文字列の保存方法に起因している。TranslatePress は WordPress の wp_mail() 関数と連携してユーザーに送信されるメッセージを翻訳するため、管理者アカウントのプロファイルで公開済みの第 2 言語が設定されている場合に、パスワード・リセット・メールも翻訳される可能性がある。

さらに、デフォルトである文字列の自動保存が有効化されている場合には、翻訳済みメールの内容が言語固有のデータベース辞書に保存され、その内容にパスワード・リセット URL 全体が取り込まれる。そこで問題となるのは、URL にリセット・キーとアカウントのログイン・パラメータが平文で含まれる点である。

本来、パスワード・リセット・リンクにアクセスできるのは受信者だけであるべきだが、このケースでは、機密性の高い URL が TranslatePress により翻訳可能な文字列として永続化され、Web サイトのデータベース内に不要なコピーが作成される可能性がある。攻撃者が、このコピーを取得する経路となるのが trp_get_translations_regular AJAX アクションであり、それが用いられることで、TranslatePress が特定の文字列識別子に対応する翻訳辞書のエントリを取得する。

Wordfence の技術分析によると、攻撃者は第 2 言語の翻訳辞書に含まれるエントリを列挙して対応するエントリを取得し、対象となる辞書にパスワード・リセット URL が保存されている場合に、URL が平文で露出する可能性がある。したがって、管理者のユーザー名やメール・アドレスを知っている未認証の攻撃者は、パスワード・リセットの開始／漏洩したリセット・リンクの取得／有効期限内でのリセット・リンクの使用を経て、新しいパスワードを設定し、標的とする管理者としてログインできる。

管理者権限が取得されると重大な侵害につながる。攻撃者が可能にする操作としては、不正な管理者アカウントの追加／バックドアを組み込んだプラグインまたはテーマのインストール／サイト・コンテンツの改変／悪意の JavaScript 挿入／データ窃取／侵害したサイトを利用したフィッシングやマルウェアの配布などが挙げられる。

ただし、すべての TranslatePress 環境が、この脆弱性の影響を受けるわけではない。この脆弱性の悪用に際しては、文字列の自動保存が有効化されていることに加え、標的となる管理者のプロファイル言語が、公開済みの第 2 言語に設定されている必要がある。管理者がサイトのデフォルト言語を使用している場合、パスワード・リセット・メールは脆弱な第 2 言語の翻訳ワークフローを通過しないため、アクセス可能な辞書テーブルに、影響を受ける機能を介してリセット URL が保存されることはない。

しかし、これらの前提条件を、十分な保護策と見なすべきではない。プロファイルの言語設定は変更される可能性があり、複数の管理者がローカライズされたアカウントを使用している場合もあるため、必要な条件を満たす特権ユーザーが攻撃者の標的になる可能性は否定できない。

Web サイト所有者に求められるのは、TranslatePress のバージョン 3.3.2 以降への速やかなアップデートである。管理者に強く推奨されるのは、WordPress ユーザー・アカウントの確認／インストール済みプラグインおよびテーマに対する不正な変更の確認／管理者パスワードの変更／侵害が疑われる場合の不審なセッションの無効化である。

8月13日に Wordfence は、Premium／Care／Response の顧客向けにファイアウォール・ルールを実装した。Wordfence 無料版のユーザーには、9月12日に同じルールが提供される予定である。

最後になるが、WordPress 管理者に推奨されるものとして、多要素認証またはパスキーの有効化がある。これらの制御により、パスワードのリセットだけではアカウントへのアクセスを取得できないようにし、認証情報を狙ったアカウント乗っ取り攻撃のリスクを軽減できる。

WordPress 向けプラグイン TranslatePress に深刻な脆弱性 CVE-2026-19632 が発見されました。特定の条件下での翻訳処理により、データベース内にパスワード・リセット URL が保存され、未認証の攻撃者に取得される恐れがあります。この問題を悪用する攻撃者は、パスワードのリセット／不正なログイン／管理者権限の乗っ取り／Web サイトの完全な侵害といった深刻な影響を引き起こす可能性があります。安全な運用のために、該当プラグインをバージョン 3.3.2 以降へ速やかにアップデートすることや、管理者アカウントの不審な変更の確認、多要素認証の有効化などの対策が求められます。